"Papa, ik heb iets doms gedaan."
Théo is 14. Hij kreeg een sms waarin stond dat hij was geloot voor 5.000 eenheden virtuele valuta in zijn favoriete game. Een link, een formulier, zijn gebruikersnaam, zijn wachtwoord, en daarna een zescijferige code die hij per sms ontving en moest "bevestigen". Veertig minuten later werd zijn account — drie jaar aan progressie en 400 euro aan aankopen — doorverkocht op een forum. En omdat hij hetzelfde wachtwoord gebruikte voor zijn e-mailadres, ging de oplichter meteen verder.
Zijn ouders kwamen erachter omdat hij het uiteindelijk vertelde. Veel tieners doen dat niet. Precies op dat stilzwijgen steunen de meeste oplichtingspraktijken die op hen gericht zijn.
Waarom tieners een apart doelwit zijn
Vaak wordt gedacht dat jongeren, "geboren met een telefoon in de hand", vanzelf immuun zouden zijn. De meldingen bij het platform 33700 en de dossiers van Cybermalveillance.gouv.fr vertellen het tegenovergestelde: hun technische vaardigheid beschermt hen niet, ze stelt hen op een andere manier bloot.
Vier factoren spelen mee.
De reactiesnelheid. Een volwassene laat een verdachte sms een uur liggen. Een tiener antwoordt binnen twee minuten, vaak zonder de app te verlaten waarin hij op dat moment bezig was. De bedenktijd, de beste verdediging tegen smishing, verdwijnt.
De reële waarde van gameaccounts. Een goed gevuld Fortnite-, Roblox- of Steam-account brengt op parallelle markten tussen 50 en enkele honderden euro's op. De oplichter heeft geen bankkaart nodig: het account is de koopwaar.
De schaamte. Dat is de doorslaggevende hefboom. Een tiener die in de val is gelopen bij afpersing met een intieme foto, of die het door zijn ouders betaalde account is kwijtgeraakt, rekent eerst uit hoe groot de kans is dat zijn telefoon wordt afgenomen. Hij betaalt, hij onderhandelt, hij zwijgt.
Weinig blootstelling aan preventiecampagnes. Officiële boodschappen over bankfraude of valse sms'jes van de belastingdienst gaan niet over hen. Niemand heeft hun uitgelegd hoe smishing eruitziet dat speciaal op hen is afgestemd.
De zes scenario's die het vaakst terugkomen
1. Het nepcadeau met virtuele valuta
De grote klassieker. "Gefeliciteerd, jouw account is geselecteerd", "gratis generator", "gratis creator code". De link leidt naar een zeer overtuigende kopie van de officiële inlogpagina. Het slachtoffer voert zijn gegevens in; vervolgens vraagt de site om de eenmalige verificatiecode die per sms is ontvangen, zogenaamd om "de levering te valideren". In werkelijkheid is dat de tweestapsverificatiecode die de officiële site zojuist heeft verstuurd omdat de oplichter bezig is in te loggen.
Het signaal om te onthouden: geen enkele game-uitgever geeft virtuele valuta weg via sms, en geen enkele vraagt ooit om een per sms ontvangen code op een andere site dan de eigen site.
2. Het valse bijbaantje
"Hallo, wij zoeken mensen om apps te testen, 40 euro per taak, 15 minuten per dag." Deze campagnes richten zich vooral op 16- tot 22-jarigen, vaak tijdens de schoolvakanties. Er zijn twee varianten:
- De task scam: de eerste "opdrachten" leveren echt 5 of 10 euro op, snel uitbetaald. Daarna wordt een storting gevraagd om "de premium taken te ontgrendelen". Dat geld komt nooit terug.
- De geldezel: de jongere krijgt het voorstel om een overschrijving op zijn rekening te ontvangen, er 10 % van te houden en de rest contant of in cryptomunten door te sturen. Dat is witwassen. De minderjarige of jonge meerderjarige is juridisch aansprakelijk en riskeert een bankverbod, strafvervolging en sluiting van zijn rekening. De Fédération bancaire française waarschuwt middelbare scholen hier regelmatig voor.
3. Sextortion
Het scenario is meedogenloos. Een hartelijk eerste contact op een sociaal netwerk, een snelle overstap naar sms of een chat-app, uitwisseling van beelden, en dan de chantage: "stuur 200 euro in cadeaubonnen of ik verspreid alles naar je contactenlijst". Soms tonen de oplichters screenshots van de vriendenlijst om te bewijzen hoeveel schade ze kunnen aanrichten.
De absolute regel, keer op keer herhaald door de vereniging e-Enfance en haar nummer 3018: nooit betalen, niets verwijderen, alles vastleggen, en met een volwassene praten. Betalen opent alleen maar een tweede ronde eisen. 3018 beschikt over een versnelde meldprocedure bij de platforms om content snel te laten verwijderen.
4. Het gehackte chataccount
"Hé, ik ben het, ik doe mee aan een wedstrijd, kun je op me stemmen?" Het bericht komt echt van het account van een vriend, omdat die vriend er eerder is ingetrapt. De link onderschept de inloggegevens, en de cyclus begint opnieuw met zijn eigen contactenlijst. Dit is het efficiëntste verspreidingsmechanisme: het vertrouwen zit er al ingebakken.
5. Het valse streamingabonnement of de nepboete van een platform
Zeldzamer maar in opmars: "Je abonnement is opgeschort, betaal 1,99 euro om het te regulariseren." Het belachelijk lage bedrag ontwapent het wantrouwen. Het doel is niet die 1,99 euro, maar het bankkaartnummer — vaak dat van een ouder, opgeslagen op de telefoon.
6. De sms "dit is niet het juiste nummer"
Een onschuldig berichtje, een gesprek dat zich over enkele dagen ontspint, en dan een voorstel om in cryptomunten te beleggen. Dit scenario, bekend als pig butchering, richtte zich aanvankelijk alleen op volwassenen. Het zakt inmiddels af naar 17- tot 20-jarigen, met rendementsbeloften afgestemd op kleine bedragen.
Waar halen oplichters het nummer van een scholier vandaan?
Die vraag komt bij ouders steevast terug. De bronnen zijn alledaags.
| Herkomst | Mechanisme |
|---|---|
| Datalekken bij gameplatforms of apps | Nummers worden in partijen doorverkocht op forums |
| Inschrijvingen voor wedstrijden, quizzen, "persoonlijkheidstests" | Toestemming weggemoffeld in algemene voorwaarden |
| Doorverkochte mailinglijsten | Bulkaankoop bij datahandelaars |
| Willekeurige nummerkeuze | Automatische generatie van Franse mobiele nummerreeksen |
| Contacten uit een gehackt account | Het adresboek van een klasgenoot |
Met andere woorden: een frauduleuze sms ontvangen betekent niet dat de tiener "iets doms heeft gedaan". Dat is belangrijk om thuis te zeggen, want juist het bij voorbaat schuldgevoel weerhoudt jongeren ervan erover te komen praten.
Wat echt beschermt, op volgorde van effectiviteit
Tweestapsverificatie via een app, niet via sms
Dat is de maatregel met het hoogste rendement. Activeer op gameaccounts, sociale netwerken en het e-mailadres tweefactorauthenticatie via een aparte app (Google Authenticator, Authy, of de app van het platform zelf) in plaats van via sms. Een code die per sms wordt verstuurd, kan via social engineering of simswapping worden afgetroggeld; een lokaal gegenereerde code veel moeilijker.
Voor de gevoeligste accounts van een jongvolwassene — hoofdmailbox, bank — maakt een fysieke beveiligingssleutel van het type FIDO2 phishing vrijwel kansloos: de sleutel weigert zich te authenticeren op een nepdomein, ook al gelooft de gebruiker er zelf wel in.
Wachtwoorden die niet worden hergebruikt
De echte schade in het verhaal van Théo is niet het verlies van het gameaccount: het is het wachtwoord dat hij ook voor zijn e-mail gebruikte. Een wachtwoordmanager op de telefoon van je tiener installeren en samen instellen kost twintig minuten en elimineert een hele risicocategorie. Zowel de CNIL als de ANSSI bevelen deze aanpak aan in hun publieksgidsen.
De ingebouwde filter van de telefoon
Android en iOS kunnen inmiddels onbekende afzenders sorteren en verdachte berichten markeren — Google heeft zijn sms-oplichtingsdetectie in 2026 trouwens uitgebreid naar de Franse markt. Op iPhone: Instellingen → Berichten → Filter onbekende afzenders. In Android Berichten: de spambescherming in de instellingen. Waterdicht is het niet, maar het haalt een groot deel van de ruis uit het zicht.
De 33700-reflex
Stuur de verdachte sms gratis door naar 33700 (de officiële meldingsdienst voor sms-spam, beheerd door de Association française du multimédia mobile samen met de operatoren). De dienst antwoordt met de vraag naar het nummer van de afzender, dat je enkel hoeft door te sturen. Die handeling één keer samen met je tiener doen, zegt meer dan alle preken: het verandert een beangstigend bericht in een concrete actie.
Voor content waarbij een minderjarige betrokken is: 3018 (e-Enfance, gratis, 7 dagen op 7) en het platform PHAROS van het Franse ministerie van Binnenlandse Zaken voor illegale inhoud.
Hardware, als het zinvol is
Een paar apparaten maken het verschil zonder van het huis een controlepost te maken. Een router met ingebouwd ouderlijk toezicht laat je tijdvakken instellen en DNS-filtering activeren voor het hele huis, zonder spionage-app op de telefoon van je kind. Voor de jongsten blijft een vereenvoudigde mobiele telefoon zonder internetbrowser een redelijke tussenstap vóór de volwaardige smartphone. En voor gezinnen die het onderwerp anders willen aansnijden dan met een lijst verbodsbepalingen, opent een preventieboek over het digitale gedrag van tieners vaak gesprekken die mondelinge adviezen niet op gang brengen.
Hoe je erover praat zonder dat er een muur van stilte volgt
Dat is het moeilijkste deel, en het meest bepalende.
Kondig de regel aan vóór het incident. De zin die je één keer rustig moet uitspreken: "wat er ook gebeurt, als je erin trapt, raak je je telefoon niet kwijt omdat je het me bent komen vertellen". Die expliciete garantie maakt het verschil tussen een slachtoffer dat na een uur praat en een slachtoffer dat drie weken lang blijft betalen.
Vertel gevallen, geen regels. "Klik niet op links" levert niets op. "Een jongen uit jouw klas is zijn account kwijtgeraakt omdat hij de zescijferige code uit de sms doorgaf" creëert een reflex.
Geef één enkel, onthoudbaar criterium. Wat het beste werkt: een per sms ontvangen code geef je nooit door, aan niemand, nooit, zelfs niet aan iemand die zegt de officiële klantenservice te zijn. Eén goed verankerd criterium is meer waard dan tien vergeten tips.
Monopoliseer de controle niet. Leer je tiener om zelf de officiële app te openen in plaats van op de link te klikken. Dat is een vaardigheid, geen toezicht.
Wat te doen in het uur na een val
Drie acties in deze volgorde, zonder discussie: toegang afsluiten, documenteren, melden.
- Verander het wachtwoord van het betrokken account — en van alle accounts die hetzelfde wachtwoord deelden. Indien mogelijk vanaf een ander apparaat.
- Log alle actieve sessies uit via de beveiligingsinstellingen van het account.
- Leg de gesprekken vast, het nummer van de afzender, de URL van de link, vóór je iets verwijdert. Dat zijn de bewijsstukken voor een eventuele aangifte.
- Waarschuw onmiddellijk de bank als er bankgegevens zijn gedeeld: laat de kaart blokkeren en vraag om blokkering van de rekening. Het recht op terugbetaling bij een niet-toegestane transactie is vastgelegd in de Franse monetaire en financiële wetgeving (artikelen L133-18 en volgende) — maar dan moet je wel snel melden.
- Meld het: 33700 voor de sms, 3018 als er een minderjarige bij betrokken is, PHAROS voor illegale inhoud, en aangifte bij het politiebureau of via de online voorafgaande klacht.
- Waarschuw de contacten als het account werd gebruikt om het bericht te verspreiden: een eenvoudig "mijn account is gehackt, niet klikken" doorbreekt de keten.
De blinde vlek: accounts die vóór het 15e levensjaar zijn aangemaakt
Sinds de Franse wet van 7 juli 2023 over de digitale meerderjarigheid vereist de inschrijving van een minderjarige onder de 15 jaar op een sociaal netwerk in principe de toestemming van de ouders. In de praktijk blijft de controle grotendeels op een eenvoudige verklaring gebaseerd. Gevolg: veel tieners hebben accounts waarvan hun ouders het bestaan niet kennen, gekoppeld aan een mobiel nummer en aan een e-mailadres dat soms speciaal daarvoor is aangemaakt.
Dat los je niet op met een doorzoeking. Dat los je op met een inventaris die je één keer per jaar samen maakt, door simpelweg op te sommen: welke accounts bestaan er, welk e-mailadres is eraan gekoppeld, waar staat tweestapsverificatie aan. De oefening duurt een half uur en brengt bijna altijd twee of drie vergeten accounts aan het licht, nog steeds actief, met een oud wachtwoord.
Wat je moet onthouden
De oplichtings-sms'jes die op tieners zijn gericht, zijn geen afgezwakte versies van die voor volwassenen. Ze spelen in op andere drijfveren: de waarde van een gameaccount, de zin in snel geld, de angst voor een oordeel, de reactiesnelheid.
Technische bescherming telt — tweestapsverificatie buiten sms om, unieke wachtwoorden, filtering van onbekende afzenders. Maar ze is alleen iets waard als het gesprek open blijft. Een tiener die weet dat hij kan binnenkomen met "ik heb iets doms gedaan" zonder zijn telefoon kwijt te raken, meldt binnen een uur wat schaamte anders een maand had laten voortduren.
Dat is verreweg de meest doeltreffende veiligheidsmaatregel in huis.
